TOM et sécurité des données : mettre en œuvre correctement les mesures techniques et organisationnelles

Quiconque traite des données personnelles de clients doit les protéger par des mesures techniques et organisationnelles appropriées (TOM) — et pouvoir aussi prouver leur mise en œuvre en cas de litige. Cela vaut aussi bien pour la boutique en ligne que pour le cabinet d'expertise fiscale ou le prestataire informatique.

En bref : les TOM sont les mesures techniques et organisationnelles par lesquelles les entreprises protègent les données personnelles contre la perte, l'abus et l'accès non autorisé. Sont concernés tous les responsables du traitement et sous-traitants qui traitent des données clients — quelle que soit la taille de l'entreprise. En l'absence de TOM appropriées, des amendes sévères sont à craindre en cas de violation de données.

Qui est concerné par l'obligation de TOM ?

Sont concernés aussi bien les responsables du traitement que les sous-traitants qui traitent des données personnelles de clients — de l'entreprise individuelle au grand groupe.

L'obligation de mettre en œuvre des TOM appropriées découle de l'art. 32 RGPD et s'applique quelles que soient la taille ou la branche de l'entreprise — de l'entrepreneur individuel avec une poignée de fiches clients à l'entreprise moyenne dotée de son propre service informatique. Qui recourt à un sous-traitant, par exemple un prestataire cloud, un cabinet comptable ou un support informatique, doit vérifier ses TOM avant de le mandater et ancrer les mesures dans le contrat de sous-traitance (AVV, Auftragsverarbeitungsvertrag). Inversement, les sous-traitants doivent révéler à leurs donneurs d'ordre quelles mesures de protection ils appliquent eux-mêmes.

Même si vous ne traitez pas de données particulièrement sensibles comme des données de santé ou de paiement, vous êtes tenu : de simples données clients ordinaires comme le nom, l'adresse ou l'adresse e-mail relèvent déjà du champ de protection du RGPD et doivent être sécurisées de manière appropriée.

Que devez-vous faire concrètement ?

Vous devez mettre en œuvre des mesures fondées sur les risques, conformes à l'état de la technique, qui correspondent au besoin de protection des données traitées.

Parmi les mesures techniques figurent notamment les contrôles d'accès, le chiffrement des données lors de la transmission et du stockage ainsi qu'un concept de sauvegarde opérationnel. Sur le plan organisationnel, cela signifie surtout : des responsabilités claires, des processus réglés pour l'attribution et le retrait des droits d'accès ainsi qu'une documentation écrite qui puisse être présentée en cas de besoin — par exemple lors d'un contrôle par l'autorité de contrôle. Un outil tel que Company Audit montre lesquelles de ces obligations s'appliquent en détail à votre entreprise.

L'approche fondée sur les risques est essentielle : plus les données traitées sont sensibles et plus le dommage potentiel en cas d'incident est grand, plus les mesures de protection doivent être élevées. Une petite entreprise avec une simple base de données clients a besoin d'autres mesures qu'une entreprise qui traite des données de santé ou financières.

En cinq étapes vers des TOM documentées

La mise en œuvre peut se structurer en cinq étapes compréhensibles qui s'appuient les unes sur les autres.

1. Évaluer le besoin de protection des données clients traitées (normal/élevé/très élevé).
2. Attribuer les droits d'accès selon le principe du besoin d'en connaître (need-to-know) et les vérifier régulièrement.
3. Mettre en place le chiffrement pour la transmission et le stockage des données sensibles.
4. Établir et tester un concept de sauvegarde et de restauration.
5. Documenter par écrit les mesures mises en œuvre (document TOM).

Cet ordre est choisi à dessein : ce n'est qu'une fois le besoin de protection connu que l'on peut dimensionner judicieusement les droits d'accès, le chiffrement et la stratégie de sauvegarde. La documentation finale rend les décisions prises compréhensibles — y compris pour les nouveaux collaborateurs ou les auditeurs externes.

À quelle fréquence les TOM doivent-elles être vérifiées ?

Les TOM ne sont pas un projet ponctuel, mais doivent être adaptées en continu aux nouveaux risques.

Vérifiez régulièrement les droits d'accès et mettez les mesures à jour dès que les systèmes, les processus, l'effectif ou la situation de menace changent — par exemple lors de l'introduction d'un nouveau logiciel, d'un changement de fournisseur cloud ou après un incident lié à la sécurité. En pratique, le document TOM est souvent exigé directement comme annexe au contrat de sous-traitance (AVV) — les deux documents devraient donc être tenus ensemble et mis à jour de manière synchrone en cas de modification.

Que risque-t-on en cas d'infraction ?

Des TOM manquantes ou insuffisantes comptent parmi les motifs les plus fréquents d'amendes RGPD, en particulier lorsqu'elles sont révélées à l'occasion d'une violation de données.

Selon l'art. 32 RGPD, des mesures de sécurité insuffisantes exposent à des amendes pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial — surtout lorsqu'il est établi, après une violation de données, que des mesures de protection appropriées faisaient défaut.

Outre l'amende, une violation de données entraîne en plus des obligations de notification envers l'autorité de contrôle et, le cas échéant, les personnes concernées, ainsi qu'un préjudice de confiance et de réputation souvent plus difficile à chiffrer que l'amende elle-même.

Questions fréquentes

Que comprennent les mesures techniques ?

Il s'agit par exemple des contrôles d'accès comme la protection par mot de passe et les concepts d'autorisation, du chiffrement des données lors de la transmission et du stockage ainsi qu'un concept de sauvegarde et de restauration testé, permettant de restaurer de manière fiable les données après un incident.

Que comprennent les mesures organisationnelles ?

Elles comprennent par exemple l'attribution des droits d'accès selon le principe du besoin d'en connaître, des responsabilités claires dans l'entreprise et la documentation écrite de toutes les mesures dans le document TOM, afin que les décisions prises restent compréhensibles à tout moment.

L'obligation de TOM s'applique-t-elle aussi aux petites entreprises ?

Oui, l'art. 32 RGPD s'applique quelle que soit la taille de l'entreprise à tous les responsables du traitement et sous-traitants qui traitent des données personnelles — y compris aux entrepreneurs individuels et aux petites entreprises sans service informatique propre.

Quel est le lien entre les TOM et le contrat de sous-traitance ?

Le document TOM est souvent exigé en pratique directement comme annexe à l'AVV, c'est pourquoi les deux documents devraient être tenus ensemble et rapprochés à chaque mise à jour.

Quelle est une première étape simple ?

L'introduction d'une authentification à deux facteurs pour les systèmes centraux est une première étape simple et efficace vers une meilleure sécurité des données, qui peut généralement être mise en œuvre sans gros effort.

Source : art. 32 RGPD. Cet article est une information générale et ne remplace pas un conseil juridique dans un cas particulier. Au : juillet 2026.